Un aggiornatore firmware diventa un loader
Il ricercatore Kaspersky Dmitry Kalinin ha documentato la prima campagna malware pensata appositamente per le centraline infotainment delle auto, e il suo punto d'ingresso è il canale di aggiornamento di cui ogni proprietario si fida per impostazione predefinita. Un componente chiamato JarService funge da loader: abusa del meccanismo di aggiornamento firmware integrato nei sistemi DoFun, prodotti da Shenzhen Driving Control Technology, per installare un secondo payload sul dispositivo. Poiché il canale di distribuzione è il normale processo di aggiornamento del produttore, l'infezione appare come manutenzione ordinaria e non come un attacco.
Una volta ottenuto l'accesso, JarService installa un modulo di proxy e frode pubblicitaria chiamato zhima. Da quel momento la centralina non è più solo uno schermo infotainment, ma un piccolo computer sempre connesso che esegue codice mai approvato dal proprietario e quasi impossibile da individuare. La connessione internet dell'auto, pensata per mappe, streaming e diagnostica, diventa la risorsa messa in vendita.
L'auto continua a funzionare perché nulla di critico per la sicurezza cambia
Il malware non raggiunge sterzo, freni né altri sistemi critici per la sicurezza, e proprio questo contenimento rende la campagna così difficile da notare. Si muove interamente nello strato infotainment e connettività, la parte dell'auto pensata per dialogare con internet, eseguire app e accettare aggiornamenti. Il conducente non vede spie accese, nessuna risposta di frenata diversa, nessun motivo di sospetto, perché nulla cambia nel modo in cui l'auto si guida.
Ed è esattamente questo che rende una botnet di proxy residenziali così attraente per chi la gestisce. Una centralina compromessa che continua a funzionare perfettamente come centralina resta preziosa finché nessuno se ne accorge, e un'auto che non si comporta mai in modo pericoloso non dà al proprietario alcun motivo di controllare, letteralmente o meno, cosa fa la sua connessione di rete in background.
I singoli proprietari se ne accorgono a malapena, flotte e concessionari portano il rischio
I proprietari privati sono la parte meno esposta di questa vicenda, perché un'unica auto compromessa è un solo nodo perso in una botnet di dimensioni sconosciute, e uno schermo infotainment leggermente più lento è facile da liquidare come normale usura. Flotte e concessionari portano il vero rischio, perché la stessa centralina DoFun, con lo stesso firmware, si trova dietro il cruscotto di ogni veicolo che ricevono da quel fornitore. Un aggiornamento compromesso rende ogni auto costruita su quella piattaforma un candidato alla stessa infezione, non solo l'unità che per caso è stata ispezionata.
Un concessionario che ha controllato il software della centralina una sola volta, alla consegna, non ha alcuna visibilità su cosa sia cambiato al decimo, ventesimo o centesimo aggiornamento via etere da allora. Un operatore di flotta con centinaia di veicoli eredita lo stesso punto cieco su scala maggiore: il controllo che sembrava sufficiente il primo giorno non dice nulla sul firmware in esecuzione oggi.
BADBOX aveva già una storia prima di avere le ruote
BADBOX non è una botnet nuova inventata per questa campagna; il team di ricerca Satori di HUMAN Security aveva già scoperto la stessa botnet di proxy residenziali su altre classi di dispositivi, comprese le TV box, molto prima che le centraline infotainment delle auto diventassero uno dei suoi bersagli. Lo schema è coerente tra classi di dispositivi diverse: l'hardware compromesso rivende silenziosamente la propria connessione internet come indirizzo IP residenziale, esattamente il tipo per cui pagano le operazioni di frode pubblicitaria e altri acquirenti di proxy, perché sembra traffico da consumatore ordinario e non un server da data center.
Ciò che è cambiato con questa campagna, documentata intorno al 21 e 22 agosto 2026, è la classe di dispositivo, non il modello di business. Una botnet costruita con TV box e una costruita con centraline auto vendono la stessa cosa: banda e reputazione IP rubate a dispositivi i cui proprietari continuano a credere che lavorino solo per loro.
La soluzione sta nel controllare la catena degli aggiornamenti, non il piazzale del concessionario
La pipeline di aggiornamento del fornitore, non l'auto ferma nel piazzale del concessionario, è dove vive davvero questa campagna, perché JarService è entrato attraverso il meccanismo di aggiornamento proprio di DoFun e non tramite un'azione compiuta dal guidatore o dal concessionario. Controllare il software della centralina una sola volta, al momento della vendita, verifica un'istantanea che è già superata non appena arriva il primo aggiornamento via etere. Chi compromette il canale di aggiornamento del fornitore ottiene una presenza persistente in ogni veicolo a valle, in silenzio, e ricontrollare il dispositivo dopo la consegna non chiude quel canale.
La lezione va oltre questa singola campagna: qualsiasi flotta o concessionario che tratta il software del veicolo come un'ispezione di sicurezza una tantum si sta fidando di una catena di fornitura mai davvero verificata. La soluzione non è una scansione migliore dell'auto nel piazzale, ma il controllo continuo della pipeline di aggiornamento stessa, a ogni invio, finché il veicolo resta connesso.
Da leggere ora: Il successo di Apple ha fatto saltare il piano di fornitura | Un'app di Pac-Man ha messo estranei sulla vostra rete
